Tutorial 2-3: Azure Virtual Desktop-Workload in Azure Enclave bereitstellen

Dieses Lernprogramm führt Sie durch die Bereitstellung von Azure Virtual Desktop in Azure Enklave. Sie erstellen Azure Virtual Desktop Infrastruktur, einschließlich Hostpools, Sitzungshosts, Anwendungsgruppen und FSLogix Speicher, die alle innerhalb Ihrer Enklavengrenze gesichert sind.

In diesem Tutorial erfahren Sie, wie:

• Bereitstellen Azure Virtual Desktop Community-Endpunkts für externe Konnektivität
• Bereitstellen von Azure Virtual Desktop Enklave-Infrastruktur
• Bereitstellen von Azure Virtual Desktop-Workload mit Sitzungshosts und Steuerungsebene
• Konfigurieren von Identität und Verschlüsselung
• Zugriff auf Azure Virtual Desktop über verschlüsselte Verbindungen
• Validierung der Bereitstellung

Voraussetzungen

• Abschluss des Lernprogramms 2-2: Erstellen Azure Enklave-Umgebung
• Azure Virtual Desktop-Enklave mit Subnetzen für Verwaltung und Sitzungshosts
• Allgemeine Abhängigkeiten (Key Vault, verwaltete Identität, Datenträgerverschlüsselungssatz) aus Lernprogramm 2-2
• Privates DNS Zonen für Azure Virtual Desktop bereitgestellt
• Mitwirkender von virtuellen Computern-Rolle in der Ressourcengruppe des Azure Virtual Desktop-Workloads
• Active Directory oder Microsoft Entra ID für die Benutzerauthentifizierung konfiguriert

Bevor Sie anfangen

Identitätslösungsanforderungen

Azure Virtual Desktop erfordert eine Identitätslösung für die Benutzerauthentifizierung. Sie haben zwei Möglichkeiten:

Dieses Lernprogramm unterstützt beide Optionen. Wählen Sie während der Bereitstellung die entsprechenden Parameter aus.

Konventionen für Ressourcennamen

In diesem Lernprogramm werden Beispielnamen verwendet. Verwenden Sie die Benennungskonvention Ihrer Organisation:

• Enklave: avd-enclave
• Arbeitsauslastung: avd-workload
• Ressourcengruppenpräfix: rg-avd-
• Hostpool: hp-prod-01

Bereitstellen des Azure Virtual Desktop-Communityendpunkts

Der Azure Virtual Desktop Community-Endpunkt ermöglicht es Sitzungshosts, mit den Diensten der Azure Virtual Desktop-Steuerungsebene zu kommunizieren.

Verwenden der Dienstkatalogvorlage

1. Navigieren Sie im Azure-Portal in der Azure Virtual Desktop Enklave zu Ihrer Azure Virtual Desktop Arbeitsauslastung.
2. Wählen Sie +Fügen Sie einen Azure Dienst hinzu.
3. Suchen und wählen Sie Azure Virtual Desktop Community-Endpunkt aus.
4. Konfigurieren Sie die Bereitstellung:
   • Ressourcengruppe: Wählen Sie die Ressourcengruppe für Ihre Workload aus (z. B. rg-avd-workload)
   • Name der Gemeinschaftsressource: Wählen Sie Ihre Gemeinde aus (zum Beispiel, cmt-fabrikam).
   • Name des Communityendpunkts: ce-avd-services
   • Einschließen Azure Virtual Desktop URLs: Überprüfen Sie alle erforderlichen URLs:
     • *.wvd.microsoft.com
     • login.microsoftonline.com
     • management.azure.com
     • *.prod.warm.ingest.monitor.core.windows.net
5. Wählen Sie "Überprüfen" und dann "Hinzufügen" und dann "Erstellen" aus.
6. Warten Sie, bis die Bereitstellung abgeschlossen ist (~5-10 Minuten).

Bereitstellen von Azure Virtual Desktop Enklave-Infrastruktur

Die Azure Virtual Desktop Enklavenvorlage bereitet Ihre Enklave mit erforderlichen Subnetzen und Netzwerksicherheitsgruppen vor.

Verwenden der Dienstkatalogvorlage

1. Wählen Sie in Ihrer Azure Virtual Desktop Workload+Einen Azure Dienst hinzufügen aus.

2. Suchen und wählen Sie Azure Virtual Desktop Enclave aus.

3. Konfigurieren Sie die Bereitstellung:

   Grundlegende Einstellungen:

   • Ressourcengruppe: rg-avd-infrastructure
   • Enklave-Ressourcenname: Auswählen avd-enclave
   • Ort: Identisch mit Enklavenregion

   Netzwerkkonfiguration:

   • Virtual Network Name: Standardeinstellung verlassen (verwendet Enklave virtual network)
   • Name des Verwaltungssubnetzs: AzureVirtualDesktopManagementSubnet
   • Subnetzname der Sitzungshosts: AzureVirtualDesktopSessionHostsSubnet
   • Erstellen von NSGs: Ja (falls noch nicht erstellt)

   Privates DNS:

   • Erstellen Privates DNS Zonen: Nein (bereits in Lernprogramm 2-2 erstellt)
   • Link zu VNet: Ja

4. Wählen Sie "Überprüfen" und dann "Hinzufügen" und dann "Erstellen" aus.

5. Warten Sie, bis die Bereitstellung abgeschlossen ist (~10-15 Minuten).

Azure Virtual Desktop-Workload bereitstellen

Stellen Sie nun die Azure Virtual Desktop Workload mit Hostpool, Sitzungshosts und unterstützender Infrastruktur bereit.

Wählen Sie die Vorlage Azure Virtual Desktop Workload aus.

1. Wählen Sie in Ihrer Azure Virtual Desktop Workload+Einen Azure Dienst hinzufügen aus.
2. Suchen Sie nach Azure Virtual Desktop Workload und wählen Sie es aus.
3. Konfigurieren Sie die Bereitstellung mithilfe der folgenden Parameter:

1. Wähle Review + Create aus.
2. Überprüfen Sie alle Einstellungen sorgfältig.
3. Wähle Create aus.

Konfigurieren von Enklavenendpunkten für die Verwaltung

Erstellen Sie Endpunkte für Enklaven, um Verwaltungsdatenverkehr von Adminressourcen zuzulassen.

1. Navigieren Sie zu Ihrer Azure Virtual Desktop Enklave.

2. Wählen Sie Enclave endpoints aus und dann + Create.

3. Konfigurieren des Endpunkts:

   • Name: ee-avd-management
   • Beschreibung: Allow management access to Azure Virtual Desktop resources

4. Regeln hinzufügen:

   Regel 1: RDP zu Sitzungshosts

   • Name: rdp-to-hosts
   • Protokoll: TCP.
   • Port:3389
   • Quelle: Administrator-Subnetz CIDR oder Bastion-Subnetz

   Regel 2: PowerShell-Remoting

   • Name: winrm
   • Protokoll: TCP.
   • Port:5985,5986
   • Quelle: CIDR des Admin-Subnetzes

5. Wählen Sie Review + create und dann Create aus.

Konfigurieren der Enklavenverbindung für FSLogix

Wenn sich Ihr FSLogix Speicher in einer anderen Enklave befindet, erstellen Sie eine Enklavverbindung.

1. Navigieren Sie zu Ihrer Azure Virtual Desktop Enklave.
2. Wählen Sie Enclave connections aus und dann + Create.
3. Konfigurieren Sie die Verbindung:
   • Name: conn-avd-to-storage
   • Quellenklave: avd-enclave
   • Endpunkt der Ziel-Enklave: Endpunkt in der Enklave für gemeinsame Dienste auswählen
4. Wählen Sie Review + create und dann Create aus.

Zuweisen von Benutzern zur Anwendungsgruppe

Benutzer müssen der Anwendungsgruppe zugewiesen werden, um auf Azure Virtual Desktop zuzugreifen.

Verwenden des Azure-Portals

1. Navigieren Sie zu Ihrer Anwendungsgruppe (zum Beispiel ag-desktop-prod).
2. Wählen Sie Assignments aus und dann + Add.
3. Suchen sie nach Benutzern oder Gruppen, und wählen Sie sie aus.
4. Wähle Select aus.

Verwenden von Azure PowerShell

# Variables
$resourceGroup = "rg-avd-workload"
$appGroupName = "ag-desktop-prod"
$userPrincipalName = "user@contoso.com"

# Get the application group
$appGroup = Get-AzWvdApplicationGroup -ResourceGroupName $resourceGroup -Name $appGroupName

# Get the user object ID
$user = Get-AzADUser -UserPrincipalName $userPrincipalName

# Assign user to application group
New-AzRoleAssignment -ObjectId $user.Id `
    -RoleDefinitionName "Desktop Virtualization User" `
    -ResourceName $appGroupName `
    -ResourceGroupName $resourceGroup `
    -ResourceType 'Microsoft.DesktopVirtualization/applicationGroups'

Zugreifen auf Azure Virtual Desktop vom Client

Benutzer können über verschiedene Clients auf Azure Virtual Desktop zugreifen.

Webclient

1. Navigieren Sie zu https://client.wvd.microsoft.com/arm/webclient.
2. Mit Microsoft Entra Anmeldedaten anmelden
3. Wählen Sie den veröffentlichten Desktop oder die veröffentlichte Anwendung aus.
4. Die Sitzung wird über Enclave-Konnektivität verbunden.

Windows-App

1. Laden Sie die Windows-App aus dem Microsoft Store oder per Direktdownload herunter.
2. Installieren und Starten von Windows-App
3. Wählen Sie Add account oder +, um einen Arbeitsbereich hinzuzufügen.
4. Melden Sie sich mit Ihren Microsoft Entra Anmeldeinformationen an
5. Ihre Azure Virtual Desktop Ressourcen werden automatisch angezeigt
6. Wählen Sie einen Desktop oder eine Anwendung aus, um eine Verbindung herzustellen.

Validierung der Bereitstellung

Führen Sie die folgenden Überprüfungsschritte aus, um eine ordnungsgemäße Bereitstellung sicherzustellen:

Status des Sitzungshosts überprüfen

1. Navigieren Sie zu Ihrem Hostpool (z. B hp-prod-01. )
2. Wählen Sie Session hosts aus.
3. Überprüfen Sie, ob alle Hosts den Status anzeigen: Available
4. Überprüfen, ob die Agent-Version aktuell ist
5. Überprüfen des Status der Domänenmitgliedschaft

Testbenutzersitzung

1. Anmelden als Testbenutzer
2. Starten eines Desktops oder einer Anwendung
3. Überprüfen der Konnektivität und Leistung
4. Überprüfen Sie, ob das FSLogix-Profil korrekt geladen wird.
5. Testen der Anwendungsfunktionalität

Überprüfen der Verschlüsselung

1. Navigieren zu einer Sitzungshost-VM
2. Wählen Sie Disks aus.
3. Wählen Sie den Betriebssystemdatenträger aus.
4. Überprüfen Encryption type: Encryption at rest with a customer-managed key
5. Prüfen, ob der Verschlüsselungssatz angewendet wird.

Überprüfen von Diagnoseprotokollen

1. Navigieren zum Hostpool
2. Wählen Sie Diagnostic settings aus.
3. Überprüfen, ob Protokolle an Log Analytics gesendet werden
4. Abfrageprotokolle für Verbindungsereignisse:

WVDConnections
| where TimeGenerated > ago(1h)
| where State == "Connected"
| project TimeGenerated, UserName, ClientOS, ClientType

Überprüfen der Netzwerkkonnektivität

1. Herstellen einer Verbindung mit einem Sitzungshost über Bastion oder Administrator-VM
2. Testen Sie die Konnektivität zu den erforderlichen Endpunkten:

# Test Azure Virtual Desktop control plane
Test-NetConnection -ComputerName rdweb.wvd.microsoft.com -Port 443

# Test Azure Storage (FSLogix)
Test-NetConnection -ComputerName $storageAccountName.file.core.windows.net -Port 445

# Test Microsoft Entra ID
Test-NetConnection -ComputerName login.microsoftonline.com -Port 443

Überwachung von Azure Virtual Desktop Insights

Aktivieren und konfigurieren Sie Azure Virtual Desktop Insights für eine umfassende Überwachung.

1. Navigieren sie zu Ihrem Hostpool
2. Wählen Sie Insights aus.
3. Wählen Sie Open Insights workbook aus.
4. Metriken überprüfen:
   • Verbindungserfolgsrate
   • Aktive Sitzungen
   • Sitzungshostleistung
   • Verzögerungen bei der Benutzereingabe
   • Ressourcenverwendung

Behandlung häufig auftretender Probleme

Sitzungshosts, die keiner Domäne beitreten

Symptom: Sitzungshosts zeigen "Domänenbeitrittsfehler" an.

Lösungen:

• Überprüfen Sie, ob die Anmeldeinformationen für den Domänenbeitritt korrekt sind
• Überprüfen der Enklavenkonnektivität mit Domänencontrollern
• Sicherstellen, dass die DNS-Auflösung für Domänen-FQDN funktioniert
• Überprüfen, ob der OU-Pfad korrekt ist (falls angegeben)

Benutzer können keine Verbindung herstellen

Symptom: Verbindung schlägt während der Authentifizierung fehl

Lösungen:

• Überprüfen Sie, ob Benutzer der Anwendungsgruppe zugewiesen sind.
• Überprüfen Sie, ob die RDP-Eigenschaften Verbindungen zulassen.
• Überprüfen, ob Community-Endpunkte erstellt wurden
• Überprüfen von Regeln für Netzwerksicherheitsgruppen

FSLogix Profile werden nicht geladen

Symptom: Benutzer erhalten temporäres Profil

Lösungen:

• Überprüfen, ob der private Endpunkt des Speicherkontos erstellt wurde
• Überprüfen der SMB-Konnektivität am Port 445
• Überprüfen, ob Benutzer über RBAC-Berechtigungen für die Dateifreigabe verfügen
• Überprüfen des virtuellen Netzwerklinks auf private DNS-Zone

Schlechte Leistung

Symptom: Sitzungen mit langsamer Reaktionszeit

Lösungen:

• Überprüfen Sie, ob die Größe der Sitzungshost-VM ausreichend dimensioniert ist.
• Überprüfen, ob Premium-SSD-Datenträger verwendet werden
• Überprüfen der Einstellungen für den Hostpoollastenausgleich
• Überprüfen der maximalen Sitzungen pro Hostkonfiguration
• Überwachen der Netzwerklatenz in Azure Virtual Desktop Insights

Bereinigen von Ressourcen

Um laufende Gebühren zu vermeiden, löschen Sie Ressourcen, wenn sie nicht mehr benötigt werden:

Der Reihenfolge nach löschen

1. Entfernen von Benutzerzuweisungen aus Anwendungsgruppen
2. Löschen von Anwendungsgruppen
3. Arbeitsbereich löschen
4. Hostpool löschen (Stopps/Löscht Sitzungshosts)
5. Speicherkonto löschen
6. Datenträgerverschlüsselungssatz löschen
7. Key Vault-Schlüssel löschen
8. Verwaltete Identität löschen
9. Arbeitsauslastungsressourcengruppen löschen

Verwenden von Azure CLI

# Delete resource group (deletes all contained resources)
az group delete --name rg-avd-workload --yes --no-wait
az group delete --name rg-avd-infrastructure --yes --no-wait

Nächste Schritte

Mit Azure Virtual Desktop bereitgestellt, können Sie jetzt Azure Kubernetes Service Workloads bereitstellen.

Lernprogramm 2-4: Bereitstellen Azure Kubernetes Service Workload

Verwandte Inhalte

• Dokumentation zu Azure Virtual Desktop
• Dokumentation zu FSLogix
• Azure Virtual Desktop Insights-Arbeitsmappe
• Verwalten von Sitzungshosts mit Azure Portal
• MSIX app attach einrichten
• Konfigurieren von Benutzerprofilcontainern